1. Cadre juridique
EnvoiSMS.ma opère sous la loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (Dahir n° 1-09-15 du 18 février 2009), son décret d'application n° 2-09-165 et les délibérations de la Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP). Le Maroc a adhéré à la Convention 108 du Conseil de l'Europe le 28 mai 2019 ; nos engagements sont rédigés pour rester valides sous la réforme de la loi 09-08 en préparation (alignement RGPD).
2. Qui est responsable de quoi
La loi distingue le responsable du traitement, qui décide des finalités et des moyens, du sous-traitant, qui agit sur ses instructions (article 23).
| Acteur | Rôle (loi 09-08) | Obligations |
|---|
| Le client | Responsable du traitement de ses contacts et de ses messages | Déclaration ou autorisation CNDP (art. 12), information (art. 5), consentement à la prospection (art. 10), droit d'opposition (art. 9), durée de conservation, notification des transferts (art. 43-44) |
| EnvoiSMS.ma | Sous-traitant (art. 23) pour l'acheminement ; responsable du traitement pour ses propres comptes clients, sa facturation et ses journaux | Agir sur instruction, sécuriser, contractualiser par écrit (DPA), tenir la liste d'exclusion, permettre l'export et l'effacement, journaliser les accès |
| Opérateurs marocains (IAM, Orange, Inwi) et passerelles | Sous-traitants ultérieurs pour le SMS | Acheminement réseau ; données limitées au numéro, au contenu et aux accusés de livraison |
| Meta / WhatsApp | Sous-traitant ultérieur pour WhatsApp Business API | Acheminement et hébergement des messages ; ses conditions font du client le Controller et incluent un addendum de transfert international |
3. Nos propres traitements
•Nos démarches déclaratives pour les traitements dont nous sommes responsables (comptes clients, facturation, support, journaux de sécurité) sont menées auprès de la CNDP conformément à l'article 12.
•Les finalités sont limitées à la fourniture du service : nous ne vendons, ne louons et ne profilons jamais les bases de contacts de nos clients (Politique de confidentialité, DPA).
•Durées appliquées côté plateforme : journaux de routage et accusés de livraison 30 à 90 jours glissants puis purge ou anonymisation irréversible ; données de compte supprimées ou anonymisées sous 30 jours après clôture, hors obligations comptables.
•Sécurité (art. 23-24) : chiffrement en transit et au repos, secrets hachés, accès nominatifs journalisés et attribués, sauvegardes chiffrées, procédure d'incident avec notification sous 72 h.
4. Ce que le client reste tenu de faire
•Déclarer le traitement à la CNDP avant le premier envoi (formulaire F214 pour un modèle-cadre tel que la gestion des clients — délibération 32-2015 — ou les lettres d'information — délibération D-940-2025 ; F211 hors modèle ; F112 pour les données sensibles, le profilage ou l'interconnexion).
•Faire figurer le numéro de récépissé et les mentions de l'article 5 (identité, finalités, destinataires dont Meta pour WhatsApp, droits, contact) sur chaque support de collecte.
•Recueillir un consentement libre, spécifique et informé avant toute prospection par SMS ou WhatsApp (art. 10) et en conserver la preuve horodatée.
•Offrir dans chaque message de prospection un moyen d'opposition simple et gratuit (STOP) et le respecter sans délai (art. 9 et 10).
•Fixer une durée de conservation, la déclarer et la respecter (art. 55).
•Notifier tout transfert de données à l'étranger avec le formulaire F118, simultanément à la déclaration (art. 43-44).
5. Les outils que nous fournissons pour ces obligations
| Obligation du client | Outil EnvoiSMS.ma |
|---|
| Preuve du consentement (art. 10) | Registre des consentements en ajout seul (GET/POST /v1/consents) : chaque accord et chaque retrait est horodaté avec sa source et sa preuve ; les mots-clés STOP/START reçus sur WhatsApp et SMS y sont écrits automatiquement ; export CSV par numéro |
| Opposition (art. 9) | Liste d'exclusion partagée SMS et WhatsApp (GET/POST/DELETE /v1/optouts), mots-clés STOP multilingues traités sans intervention humaine, blocage préventif à chaque campagne |
| Droits d'accès, de rectification et d'effacement (art. 7-8) | Export JSON complet et demande d'effacement en libre-service depuis le tableau de bord, traités sous 30 jours |
| Sous-traitance écrite (art. 23) | Accord de traitement des données public et liste des sous-traitants ultérieurs, modifications annoncées 30 jours à l'avance |
| Traçabilité (art. 23-24) | Journal d'audit des accès API et journal d'activité du compte WhatsApp Business |
| Catégories de messages et article 10 | Chaque modèle WhatsApp porte sa catégorie Meta (marketing, utility, authentication) ; la boîte de réception distingue les conversations ouvertes par le client |
6. Transferts internationaux
Le SMS à destination du Maroc est acheminé vers les opérateurs nationaux. WhatsApp Business API est fourni par Meta, dont le Cloud API héberge par défaut les messages aux États-Unis — un État qui ne figure pas sur la liste des pays à protection suffisante arrêtée par la CNDP (délibération n° 236-2015). Ce transfert existe quel que soit le prestataire intermédiaire ; nous ne le masquons pas.
•Le client, responsable du traitement, notifie ce transfert à la CNDP (formulaire F118) et l'assoit sur une base de l'article 44 : consentement exprès de la personne, nécessité contractuelle pour les messages de service et d'authentification, ou autorisation expresse de la CNDP fondée sur les clauses contractuelles de Meta.
•Notre Accord de traitement des données décrit les rôles, les sous-traitants ultérieurs et les clauses contractuelles applicables, afin d'être joint au dossier F118.
•Notre guide « WhatsApp API et CNDP » détaille la procédure, article par article, avec des modèles d'opt-in mentionnant le transfert.
Un prestataire qui affirme qu'aucune donnée WhatsApp ne quitte le Maroc décrit une infrastructure que Meta ne propose pas : le stockage local du Cloud API n'est ouvert qu'à une dizaine de marchés, dont le Maroc ne fait pas partie.
7. Exercer vos droits et nous contacter
Toute personne concernée peut exercer ses droits d'accès, de rectification et d'opposition (art. 7 à 9) en écrivant à [email protected]. Nous répondons sous 30 jours. Lorsque la demande concerne des messages envoyés par l'un de nos clients, nous la lui transmettons sans délai, car il en est le responsable du traitement, et nous l'assistons dans sa réponse.